La Commission nationale pour la protection des données (ci-après dénommée «Commission nationale») :

Transcription

1 Délibération n 63/2007 du 22 juin 2007 Autorisation unique relative aux traitements de données à caractère personnel portant sur le contrôle des horaires de travail dans le cadre d une organisation de travail selon l horaire mobile La (ci-après dénommée «Commission nationale») : Vu la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi du 2 août 2002 relative à la protection des personnes à l égard du traitement des données à caractère personnel (ci-après «la loi du 2 août 2002») ; Vu le Code du travail, et notamment ses articles : L.261-1, L et L ; Considérant que les systèmes de contrôle des horaires de travail sont destinés à la gestion et le contrôle des horaires de travail et des temps de présence sur le lieu de travail ; que ces systèmes mis en œuvre peuvent utiliser la technique des cartes magnétiques ou à puce, avec ou sans contact, ou d autres techniques de pointage tels que la saisie d un code secret sur un terminal ou une console ; qu ils permettent ainsi de contrôler et de vérifier la date et l heure d utilisation de la carte ou du code afin d effectuer un décompte des heures de travail prestées par chaque personne concernée et de connaître exactement la présence et les absences des travailleurs sur le lieu de travail ; que ces cartes ou codes permettent d identifier directement ou indirectement l agent détenteur de la carte ou du code ; que la surveillance est définie à l article 2 lettre (q) de la loi comme étant «toute activité faisant appel à des moyens techniques en vue de détecter, d observer, de copier ou d enregistrer les mouvements, images, paroles, écrits, ou l'état d'un objet ou d'une personne fixe ou mobile» ; qu il s ensuit que le contrôle des horaires de travail par badge/carte ou code, permettant d identifier l agent détenteur, constitue un traitement de données à caractère personnel à des fins de surveillance au sens des articles 10 de la loi et L du Code du travail ; que suivant les dispositions de l article 14 paragraphe (1) lettre (a), les traitements prévus aux articles 10 de la loi du 2 août 2002 et L du Code du Travail, concernant les traitements à des fins de surveillance, sont soumis au régime de l autorisation préalable de la Commission nationale ; Délibération Nº63/2007 autorisation unique relative aux traitements 1/7

2 que, dès lors, seuls sont soumis à autorisation préalable les traitements faisant appel à des moyens techniques ou informatiques, et que, par conséquent, les traitements manuels relatifs à un tel contrôle relèvent du régime de la notification préalable (articles 12 et 13 de la loi du 2 août 2002); Considérant qu en vertu de l article 14 paragraphe (3) de la loi du 2 août 2002, la Commission nationale peut autoriser par une décision unique les traitements qui ont une même finalité, qui portent sur des données identiques et ont les mêmes destinataires ou catégories de destinataires ; que la Commission nationale, consciente du fait qu un nombre important d employeurs ont mis en place une organisation de travail selon l horaire mobile et soucieuse de faciliter les formalités administratives préalables à remplir par les responsables du traitement, souhaite simplifier et accélérer la mise en conformité des responsables du traitement avec les dispositions de la loi du 2 août 2002 en ce qui concerne ces systèmes de surveillance ; Considérant que la présente décision unique a pour objet l autorisation de l ensemble des traitements de données en question qui correspondent aux conditions et circonstances décrites ci-après ; Considérant que tout traitement qui par un élément quelconque n est pas strictement conforme aux présentes dispositions doit faire l objet d une demande d autorisation préalable au sens de l article 14 paragraphes (1) et (2) de la loi du 2 août 2002 ; Considérant que sont exclus de la présente autorisation unique les systèmes utilisant une identification biométrique ; Décide que les responsables du traitement qui adressent à la Commission nationale un engagement formel de conformité pour leurs traitements de données à caractère personnel à des fins de surveillance et à des fins de surveillance sur le lieu de travail répondant aux conditions fixées par la présente autorisation unique sont autorisés à mettre en œuvre ces traitements. Article 1 Généralités La présente autorisation unique ne concerne que les systèmes de surveillance des horaires de travail dans le cadre d une organisation de travail selon l horaire mobile, c est-à-dire ceux qui permettent la gestion et le contrôle des horaires de travail et des temps de présence sur le lieu de travail. Le traitement mis en œuvre par la personne physique ou la personne morale, de droit public ou privé, qui est responsable du traitement (ci-après «le responsable du traitement») ne doit concerner que les arrivées sur le lieu de travail et les départs du lieu de travail. La référence au terme «travailleurs» dans la présente autorisation unique inclut aussi bien les salariés, y compris les apprentis, les travailleurs intérimaires et les stagiaires, que les fonctionnaires ou autres agents publics Délibération Nº63/2007 autorisation unique relative aux traitements 2/7

3 et généralement toute personne travaillant sous un lien de subordination juridique à l égard du responsable du traitement. La référence au terme «tiers» dans la présente autorisation unique inclut aussi bien les fournisseurs, les visiteurs, les clients, que les prestataires de services et généralement toute personne qui ne se trouve pas soumis à un lien de subordination juridique par rapport au responsable du traitement. Article 2 Finalités du traitement Le traitement ne doit pas avoir d autres finalités que : - la gestion des horaires de travail ; - le contrôle des temps de présence sur le lieu de travail. Article 3 Condition de légitimité du traitement Dérogeant à l article 5 relatif aux conditions de légitimité générales, les articles 10 de la loi du 2 août 2002 et L paragraphe (1) du Code du Travail, énumèrent les cas d ouverture limitatifs permettant une surveillance en général et une surveillance spécifique sur le lieu de travail. Le traitement de données à caractère personnel à des fins de surveillance sur le lieu de travail peut être mis en œuvre par l employeur s il en est le responsable. Un tel traitement n est possible que s il est nécessaire dans le cadre d une organisation de travail selon l horaire mobile conformément à la loi. Sont donc visés tous les traitements de données effectués à l aide des dispositifs décrits ci-dessus en vue du contrôle des horaires de présence des travailleurs, de leur identification à leur entrée et sortie, des plages obligatoires, de la vérification du respect des règles de compensation et de leur incidence sur la rémunération et la compensation des congés. Par ailleurs, le traitement de données à caractère personnel portant sur les travailleurs du responsable du traitement sera considéré comme légitime dans le cadre de l article L du Code du Travail, sous réserve d avoir obtenu préalablement l accord du comité mixte, le cas échéant institué, conformément aux dispositions de l article L dudit Code. Le traitement de données à caractère personnel portant sur les tiers ne pourra être effectué que si la personne concernée a donné son consentement. Il convient de relever que la surveillance des horaires de travail et des temps de présence sur le lieu de travail ne concerne en principe que les travailleurs du responsable du traitement. Il existe cependant des situations exceptionnelles où des tiers (p.ex. les employés d un sous-traitant) effectuent des prestations au sein des locaux du responsable du traitement et sont, à ce titre, soumis à une telle surveillance, notamment pour vérifier la conformité aux contrats de services souscrits par le responsable du traitement. Délibération Nº63/2007 autorisation unique relative aux traitements 3/7

4 Au regard du catalogue limitatif de conditions de légitimité énumérées à l article 10, la Commission nationale retient que la seule condition de légitimité susceptible de trouver application pour légitimer la surveillance des heures de présence de tiers travaillant dans les locaux du responsable du traitement est la lettre (a) de l article 10 paragraphe 1 er de la loi. La définition du consentement figurant à l article 2 lettre (c) de la loi étant plus rigoureuse que celle de la directive 95/46/CE (consentement exprès et non équivoque) ne permet pas de déduire un consentement implicite du comportement des intervenants externes qui enregistrent leurs entrées et sorties conformément au système décrit dans la demande. Il découle de ce qui précède qu une surveillance relative aux tiers intervenant au sein du responsable du traitement ne pourra être considérée comme légitime que sous la condition exclusive que le responsable du traitement dispose de leur consentement au sens de la définition de l article 2 lettre (c) de la loi du 2 août Article 4 Données collectées et traitées Chaque application peut être mise en œuvre de façon indépendante ou intégrée. A l exclusion des données biométriques, les données suivantes peuvent être traitées : a) Identité : nom, prénom, photographie, numéro d identification ou de matricule interne ; b) Vie professionnelle : service de rattachement, fonction ; c) Badges : numéro du badge ou de la carte, date de validité ; d) Temps de présence : heures d'entrée et de sortie, plages horaires habituellement autorisées, numéro de la porte, du terminal ou de la borne utilisée, cumul des horaires, heures supplémentaires, autorisation d absences, congés, autres absences (motifs et décomptes). Les données recueillies doivent être traitées loyalement et ne doivent être utilisées que pour les finalités sur lesquelles est fondée la présente décision unique. Article 5 Durée de conservation Conformément à l article 4 paragraphe (1) lettre (d) de la loi du 2 août 2002, les données traitées ne peuvent être conservées sous une forme permettant l identification des personnes concernées que pendant une durée n excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. Une durée limitée de conservation de données constitue une garantie supplémentaire pour éviter d éventuels détournements de finalité. Les données personnelles des travailleurs salariés et assimilés ne doivent pas être conservées au delà de trois ans. Délibération Nº63/2007 autorisation unique relative aux traitements 4/7

5 Ce délai est conforme aux dispositions de l article 2277 du Code Civil, selon lesquelles les actions en paiement des rémunérations de toute nature dues au salarié se prescrivent par trois ans. Pendant ce délai l employeur pourra conserver les données relatives au contrôle des horaires de travail pouvant servir comme éléments de preuve en cas de contestations, revendications ou réclamations émanant des salariés. Les données personnelles des agents publics ne doivent pas être conservées au delà de cinq ans. Ce délai met en œuvre les apports de la jurisprudence luxembourgeoise en matière administrative, qui retient que le nouvel alinéa premier de l'article 2277 du code civil n'a pas apporté de changement à l'applicabilité du dernier alinéa du même article, selon lequel les traitements et indemnités des fonctionnaires et agents des organismes de droit public se prescrivent par cinq ans (cf. Cour administrative, arrêt du 11 juin 1998, rôle 10607C). Dans l hypothèse d une contestation ou d un incident, les données s y rapportant ne font pas l objet de l obligation de destruction au bout des délais susmentionnés, dans le cadre de la transmission des données aux autorités compétentes, visées à l article 10 paragraphe (3). Article 6 Destinataires des informations Dans la limite de leurs attributions respectives, les informations nominatives peuvent être communiquées aux destinataires suivants : les membres de la direction ; les personnes habilitées du service du personnel ; les personnes habilitées du service en charge du calcul des salaires ou des traitements ; les personnes habilitées des services en charge de la sécurité des locaux. Aucune communication des données à des tiers ne peut avoir lieu, sauf dans le cadre de l application d une disposition légale ou réglementaire ou encore aux fins de la gestion normale d entreprise. Article 7 Pays tiers à destination desquels les transferts de données sont envisagés Aucune donnée à caractère personnel visée dans la présente autorisation unique ne doit être transférée à destination de pays tiers (hors Union Européenne) n assurant pas un niveau de protection adéquat. Le transfert peut néanmoins être effectué vers les Etats qui n assurent pas un niveau de protection adéquat suffisant et notamment reconnu comme tel par une décision de la Commission européenne sous réserve du respect par le responsable du traitement des dispositions prévues aux articles 18 et 19 de la loi du 2 août Tout contrat conclu avec les personnes habilitées à obtenir communication des données devra respecter les décisions de la Commission européenne relatives aux clauses contractuelles types pour le Délibération Nº63/2007 autorisation unique relative aux traitements 5/7

6 transfert de données à caractère personnel vers des pays tiers ou des soustraitants établis dans des pays tiers en vertu de la directive 95/46/CE du 24 octobre Article 8 Information et droit d'accès L'information des personnes concernées sur les finalités et les fonctions du traitement, les destinataires des informations et les modalités d'exercice de leur droit d'accès et de rectification doit être assurée par tout moyen approprié, notamment par la diffusion d'une note explicative. Conformément aux dispositions de l article L paragraphe (1) deuxième alinéa et sans préjudice du droit à l information de la personne concernée visé à l article 26 de la loi du 2 août 2002, «sont informés préalablement par l employeur : la personne concernée, ainsi que pour les personnes tombant sous l empire de la législation sur le contrat de droit privé: le comité mixte ou, à défaut, la délégation du personnel ou, à défaut encore, l Inspection du travail et des mines; pour les personnes tombant sous l empire d un régime statutaire: les organismes de représentation du personnel tels que prévus par les lois et règlements afférents. Article 9 Mesures de sécurité et sous-traitance Des mesures de sécurité organisationnelles et techniques suffisantes doivent être prises, conformément aux articles 22 et 23 de la loi du 2 août 2002, afin d assurer la protection des données traitées contre la destruction accidentelle ou illicite, la perte accidentelle, l altération, la diffusion ou l accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute forme de traitement illicite. L ensemble des mesures prises pour assurer la sécurité du traitement en application des articles 22 et 23 de la loi du 2 août 2002 doit conférer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger, le tout en fonction du risque d atteinte à la vie privée, ainsi que de l état de l art et des coûts liés à la mise en œuvre dudit traitement. Lorsque le responsable du traitement s adjoint les services d un sous-traitant pour la mise en œuvre du traitement, un contrat ou un acte juridique écrit conforme aux dispositions de l article 22, paragraphe (3) doit être signé. La Gérard Lommel Pierre Weimerskirch Thierry Lallemang Président Membre effectif Membre effectif Délibération Nº63/2007 autorisation unique relative aux traitements 6/7

7 Engagement formel de conformité Aux termes de l article 14, paragraphe 3, de la loi du 2 août 2002 relative à la protection des personnes à l égard du traitement des données à caractère personnel: «Les traitements qui ont une même finalité, qui portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisées par une décision unique de la Commission nationale. Dans ce cas le responsable de chaque traitement adresse à la Commission nationale un engagement formel de conformité de celui-ci à la description figurant dans l autorisation.» Conformément à cette disposition légale, le "responsable du traitement" (l'entreprise, l'association, l'administration ou toute autre personne pour le compte de laquelle le traitement est mis en oeuvre) (prière d indiquer le nom et l adresse du responsable du traitement) déclare par la présente que le traitement qu il entend mettre en œuvre a les mêmes finalités, porte sur des catégories de données identiques et a les mêmes destinataires ou catégories de destinataires que celui qui a fait l objet de la décision unique d autorisation prise par la Commission nationale pour la protection des données le 22 juin 2007 (délibération nº63/2007 Autorisation unique pour les traitements de données à caractère personnel portant sur le contrôle des horaires de travail dans le cadre d une organisation de travail selon l horaire mobile) ; prend l engagement formel que le traitement qu il entend mettre en œuvre est strictement conforme aux conditions figurant dans la décision unique précitée. Etabli à _, le (localité à indiquer) (date à indiquer) (Nom et fonction du signataire) Engagement formel de conformité pris en application de l article 14 3 de la loi du 2 août 2002 Délibération Nº63/2007 autorisation unique relative aux traitements 7/7